Cloudlflares neuer Umgang mit AI-Bots im Hinblick auf Shopware Shop Betreiber

von Der Atilla | Juli 5, 2026 | Alle | 0 Kommentare

Anfang Juli 2026 hat Cloudflare angekündigt, wie das Netzwerk künftig mit KI-Bots umgeht – und die Schlagzeilen lauteten fast überall gleich: „Cloudflare blockt ab September AI-Bots.“ Für dich als Shopware-Betreiber ist die entscheidende Frage aber eine andere: Betrifft mich das überhaupt? Rund um das Thema Shopware Cloudflare AI-Bots kursieren gerade viele Halbwahrheiten. Dieser Artikel ordnet nüchtern ein, was sich am 15. September 2026 tatsächlich ändert, warum der neue Standard die allermeisten Shopware-Shops gar nicht automatisch trifft – und wo das echte, oft hausgemachte Risiko für deine Sichtbarkeit in KI-Suche und Agentic Commerce liegt.

Kurz vorweg: Wer einen klassischen Shopware-Shop ohne Fremdanzeigen betreibt, muss nicht in Panik verfallen. Die neue Cloudflare-Voreinstellung greift an einer Stelle, die für die meisten Shops schlicht nicht existiert. Trotzdem lohnt sich ein genauer Blick, denn parallel verändert sich gerade, wie KI-Agenten überhaupt auf deinen Shop zugreifen – und das ist im Zusammenspiel mit Cloudflare durchaus relevant.

Inhaltsübersicht

1. Was sich bei Cloudflare für Shopware-Shops ändert
2. Warum der Cloudflare-Default die meisten Shopware-Shops nicht blockiert
3. Search, Agent, Training: die drei Bot-Klassen im Shopware-Kontext
4. Agentic Commerce in Shopware trifft auf Cloudflares Agent-Blocking
5. Das eigentliche Risiko: hausgemachte Blockaden im Shopware-Shop
6. robots.txt und Cloudflare: zwei getrennte Ebenen im Shopware-Setup
7. Praxis-Check: Shopware-Shop hinter Cloudflare richtig einstellen
8. Fazit für Shopware-Betreiber

1. Was sich bei Cloudflare für Shopware-Shops ändert

Cloudflare hat seine bisherige Ja/Nein-Logik („AI-Bots blockieren – ja oder nein“) aufgegeben. Statt einer einzelnen Blockade-Option teilt das Netzwerk automatisierten Traffic seit dem 1. Juli 2026 in drei Verhaltensklassen ein und lässt dich pro Klasse entscheiden. Diese Unterscheidung ist der eigentliche Kern der Ankündigung – nicht der oft zitierte September-Stichtag.^[1]

Die drei Klassen, die auch für deinen Shopware-Shop maßgeblich sind:^[1]

Shopware und Search-Bots: Crawler, die Inhalte sammeln oder indexieren, um später Fragen dazu zu beantworten. Sie liefern in der Regel Referral-Traffic zurück und bleiben deshalb standardmäßig erlaubt.
Shopware und Agent-Bots: automatisierte Aktivität, die in Echtzeit im Auftrag einer Person handelt – etwa Chat-Fetch-Bots wie ChatGPT-User oder Browser-Use-Agenten, die einen Browser steuern.
Shopware und Training-Bots: Crawler, die Inhalte abgreifen, um damit ein KI-Modell zu trainieren oder zu verfeinern.

Am 15. September 2026 setzt Cloudflare für neue Domains neue Voreinstellungen: Training- und Agent-Bots werden auf Seiten mit Werbeanzeigen blockiert, Search bleibt erlaubt. Betroffen sind laut Cloudflare neue Kunden, neue Sites bestehender Kunden sowie alle Free-Tier-Kunden, die bis zum Stichtag nichts an ihren Einstellungen ändern. Bestehende zahlende Kunden behalten ihre Konfiguration und können jederzeit vorher über die Security-Einstellungen ihrer Zone widersprechen. Es gibt also ein klares Opt-out-Fenster.^[1]^[2]

Zusätzlich behandelt Cloudflare ab diesem Datum Multi-Purpose-Crawler nach der striktesten zutreffenden Regel. Ein Bot, der gleichzeitig für Search und Training crawlt, wird also blockiert, sobald du Training sperrst. Cloudflare nennt Googlebot, Applebot und Bingbot ausdrücklich als Beispiele – ein Punkt, auf den wir bei den hausgemachten Risiken zurückkommen.^[1]^[7]

Shopware Cloudflare AI-Bots – zurück zur Übersicht

2. Warum der Cloudflare-Default die meisten Shopware-Shops nicht blockiert

Hier liegt der Punkt, den fast die gesamte Berichterstattung unterschlägt: Der neue Default-Block gilt ausschließlich auf Seiten mit Werbeanzeigen. Cloudflares Begründung ist simpel – eine Anzeige ist ein Signal, dass der Betreiber wollte, dass ein Mensch dort landet und sie sieht. Auf solchen Seiten behandelt Cloudflare menschliche Aufmerksamkeit als Ziel und hält Training- und Agent-Bots fern.^[1]

Technisch erkennt Cloudflare diese Seiten pro Hostname bei jeder Anfrage: Das System scannt die HTML-Antwort auf ad-typische Code-Muster und Verweise auf bekannte Ad-Server, greift dafür auf Ad-Blocker-Filterlisten (ein Subset von EasyList) zurück und ergänzt das um Daten aus Content-Security-Policy-Reports, die für viele Sites über Cloudflares Page Shield zusammenlaufen. Das passiert für jeden Kunden, der die Option nutzt – ausdrücklich auch auf dem Free-Tier. Ohne Ad-Server-Skripte gibt es keine Ad-Erkennung, und ohne Ad-Erkennung greift der Default-Block nicht.^[3]

Für einen typischen Shopware-Shop bedeutet das konkret: Du schaltest keine Fremdanzeigen wie Google AdSense, sondern verkaufst eigene Produkte. Damit läuft der September-Default für deine Storefront ins Leere – selbst auf dem Free-Tier. Auch die viel beschworene Googlebot-Falle ist damit entschärft: Wer Training-Blocking aktiviert, blockiert Multi-Purpose-Bots wie Googlebot zwar nach der striktesten Regel, aber eben auf werbemonetarisierten Seiten. Ohne Anzeigen auf der Seite trifft dich diese Blockade über den reinen Default nicht.^[1]^[7]

Wann bist du also tatsächlich betroffen? In diesen Konstellationen solltest du genauer hinsehen:

Shopware-Shop mit Content-Bereich und Anzeigen: ein angeschlossenes Magazin, Ratgeber oder Blog, in dem echte Werbebanner ausgespielt werden.
Shopware auf Free-Tier ohne aktive Betreuung: hier greift der Default automatisch, sollte doch irgendwo Ad-Code laufen.
Neue Domain oder neuer Verkaufskanal: frisch aufgesetzte Sites erhalten die neuen Voreinstellungen direkt.

Shopware Cloudflare AI-Bots – zurück zur Übersicht

3. Search, Agent, Training: die drei Bot-Klassen im Shopware-Kontext

Die neue Cloudflare-Taxonomie ist keine akademische Spielerei, sondern deckt sich erstaunlich genau mit den drei Wegen, auf denen KI heute deinen Shopware-Shop erreicht. Es lohnt sich, jede Klasse konkret auf die Shop-Realität zu übersetzen.

Die Zuordnung im Shopware-Alltag sieht so aus:

Shopware und Search: Hier entsteht deine Sichtbarkeit in KI-Antworten und Zitationen. Bots wie OAI-SearchBot oder PerplexityBot müssen deine Produkt- und Contentseiten erreichen, damit dein Shop in ChatGPT, Perplexity oder Google AI Mode überhaupt auftauchen kann. Das ist die Grundlage für GEO (Generative Engine Optimization).
Shopware und Agent: Live-Agenten wie ChatGPT-User oder Browser-Use-Agenten rufen die Storefront in Echtzeit ab – um Preis und Verfügbarkeit zu prüfen oder einen Käufer zum Checkout zu leiten. Diese Klasse ist die Brücke zum Agentic Commerce.
Shopware und Training: Reine Trainings-Crawler wie GPTBot oder ClaudeBot sammeln Inhalte für das Modelltraining. Ob du diese zulässt, ist eine strategische Entscheidung ohne direkten Sichtbarkeitseffekt.

Der entscheidende Unterschied für dich: Search und Agent zahlen unmittelbar auf Umsatz und Auffindbarkeit ein, Training nicht. Wer pauschal „alle KI-Bots“ blockiert, wirft die ersten beiden Klassen mit der dritten zusammen weg – und genau das ist der teure Fehler.^[1]

Shopware Cloudflare AI-Bots – zurück zur Übersicht

4. Agentic Commerce in Shopware trifft auf Cloudflares Agent-Blocking

Shopware drängt seit Mitte 2026 aktiv Richtung Agentic Commerce. Mit Release 6.7.10 (Mai 2026) wurde der eigene Agentic-Commerce-Sales-Channel nativ ausgeliefert – eine erste Vorstufe war bereits im April-Release 6.7.9 angelegt. Der Channel erzeugt einen standardkonformen JSONL-Produkt-Feed für KI-Plattformen, ist nativ im Admin verwaltbar und startet mit dem „OpenAI product feed“ (ChatGPT) als erster Plattform, weitere sind vorgesehen. Gleichzeitig macht Cloudflare das Blockieren genau jener Agent-Klasse einfacher und in bestimmten Fällen zum Standard. Auf den ersten Blick ein Widerspruch – auf den zweiten eine wichtige Präzisierung.^[8]^[4]

Damit du das richtig einordnest, musst du zwei technisch verschiedene Vorgänge auseinanderhalten:

Shopware-Feed als dedizierter Feed-Endpunkt: Der Agentic-Commerce-Sales-Channel stellt eine öffentliche, dauerhaft erreichbare JSONL-Feed-URL bereit, die die KI-Plattform in regelmäßigen Intervallen selbst abruft. Das ist kein Crawler, der deine Storefront besucht – Bot-Management blockiert den Abruf dieses Feed-Endpunkts nicht.
Live-Agent auf der Storefront: Findet ein KI-Agent dein Produkt, ruft er die Seite trotzdem oft direkt ab, um Preis, Bestand und Verfügbarkeit zu verifizieren oder den Kauf im Redirect-Modell auf deiner Domain abzuschließen. Das ist die Agent-Klasse – und die ist über Cloudflare blockierbar.

Konkret heißt das: Der Feed allein macht deinen Shop sichtbar, aber die Kaufabwicklung und Verifikation hängen an Live-Zugriffen. Blockierst du Agent-Bots – ob über den Cloudflare-Default auf Ad-Seiten, über Super Bot Fight Mode oder über eine WAF-Regel – untergräbst du genau die Agentic-Commerce-Readiness, die du dir über den Sales-Channel gerade aufbaust. Wer auf diesen Vertriebsweg setzt, sollte Search und Agent bewusst erlauben.

Shopware Cloudflare AI-Bots – zurück zur Übersicht

5. Das eigentliche Risiko: hausgemachte Blockaden im Shopware-Shop

Nicht der neue Cloudflare-Default ist die größte Gefahr für deine KI-Sichtbarkeit, sondern selbst verursachte Blockaden. Das Muster ist aus dem Shopify-Umfeld gut dokumentiert und lässt sich eins zu eins auf Shopware übertragen: Blanket-Disallow-Regeln, Security-Apps und aggressive Bot-Blocker fangen KI-Crawler unbeabsichtigt mit ab. Das Tückische daran ist, dass das Problem still bleibt.

Ein blockierter KI-Crawler erzeugt keine Fehlermeldung im Admin und keinen sichtbaren Ranking-Einbruch bei Google. Nach außen sieht alles normal aus – nur tauchst du in KI-Antworten schlicht nicht mehr auf. Genau deshalb wird dieses Risiko so oft übersehen und über Monate mitgeschleppt.

Typische hausgemachte Ursachen in Shopware-Setups sind:

Shopware hinter dem Legacy-„Block AI Bots“-Preset: Das alte Ein-Klick-Blockieren sperrt pauschal und unterscheidet nicht zwischen den drei neuen Klassen.^[2]
Super Bot Fight Mode und WAF-Regeln: zu scharf eingestellt, blockieren sie legitime KI-Crawler auf Netzwerkebene, bevor sie deine Storefront erreichen.
Pauschale robots.txt-Sperren: ein blankes Disallow: / oder eine reflexhafte GPTBot-/ChatGPT-User-Sperre aus Angst vor Content-Klau kostet dich Sichtbarkeit im GEO-Kanal.
Aggressive Rate-Limits: KI-Agenten erzeugen Zugriffsmuster, die sich in Geschwindigkeit und Parallelität von menschlichem Verhalten unterscheiden – strikte Velocity-Limits können sie fälschlich als Angriff werten.

Shopware Cloudflare AI-Bots – zurück zur Übersicht

6. robots.txt und Cloudflare: zwei getrennte Ebenen im Shopware-Setup

Ein häufiges Missverständnis: robots.txt und Cloudflare-Bot-Management seien dasselbe. Sind sie nicht. Es handelt sich um zwei voneinander unabhängige Ebenen, die zusammenpassen müssen, sonst arbeiten sie gegeneinander.

Die robots.txt ist ein Ehrensystem. Sie ist eine Bitte, die höfliche Bots respektieren – zwingen kannst du damit niemanden. Cloudflare hingegen erzwingt Blockaden auf Netzwerkebene und liefert bei einer Sperre einen 403-Fehler aus, den ein Bot nicht ignorieren kann. Ein Shop kann also in der robots.txt KI-Crawler ausdrücklich erlauben und sie trotzdem über eine Cloudflare-Regel aussperren – oder umgekehrt.

Auf der Shopware-Seite hat sich hier zuletzt einiges getan:

Shopware ab 6.7.1: automatisch generierte robots.txt, direkt im Admin unter Einstellungen > Allgemein > Stammdaten pflegbar.^[9]^[5]
Shopware ab 6.7.5: volle robots.txt-Unterstützung mit allen Standard-Direktiven und eigenen User-Agent-Blöcken; die Generierung lässt sich per Plugin über den RobotsDirectiveParsingEvent erweitern, etwa um eigene Regeln oder Validierungen.^[10]^[6]

Die Empfehlung aus der E-Commerce-Praxis ist eindeutig: Standardpfade wie /checkout/, /account/, /widgets/ oder Parameter-URLs gehören sinnvoll gesperrt, das Crawling von LLM- und KI-Bots sollte im Shop aber grundsätzlich zugelassen bleiben, um Sichtbarkeit im GEO-Kanal nicht zu verschenken. Beide Ebenen – robots.txt im Shop und Bot-Policy bei Cloudflare – müssen die gleiche Sprache sprechen.

Shopware Cloudflare AI-Bots – zurück zur Übersicht

7. Praxis-Check: Shopware-Shop hinter Cloudflare richtig einstellen

Statt in Aktionismus zu verfallen, arbeitest du am besten eine kurze Prüfliste ab. Sie deckt die Punkte ab, an denen ein Shopware-Shop hinter Cloudflare tatsächlich Sichtbarkeit oder Agentic-Commerce-Fähigkeit verlieren kann.

Diese Fragen solltest du für deinen Shop beantworten:

Läuft der Shopware-Shop überhaupt hinter Cloudflare? Prüfe, ob Bot Fight Mode, das Legacy-„Block AI Bots“-Preset oder relevante WAF-Regeln aktiv sind.
Schaltet die Storefront echte Fremdanzeigen? In den allermeisten Fällen nein – dann ist der September-Default für dich irrelevant und du musst nichts opt-outen.
Was sperrt deine robots.txt konkret? Checkout-, Account- und Widget-Pfade zu blocken ist korrekt; ein blankes Disallow: / oder pauschale KI-Sperren können GEO und Agentic Commerce still abwürgen.
Passen robots.txt und Cloudflare-Policy zusammen? Widersprechen sich beide Ebenen, entscheidet am Ende die schärfere – meist Cloudflare.
Sind deine Rate-Limits agentenverträglich? Prüfe, ob legitime KI-Agenten durch Velocity- oder Concurrency-Limits ausgebremst werden.

Wenn du auf KI-Sichtbarkeit und den Agentic-Commerce-Kanal setzt, lautet die pragmatische Grundeinstellung: Search und Agent erlauben, Training bewusst entscheiden – und alle pauschalen Blockaden aus der Vergangenheit einmal kritisch überprüfen.

Shopware Cloudflare AI-Bots – zurück zur Übersicht

8. Fazit für Shopware-Betreiber

Die Cloudflare-Ankündigung klingt dramatischer, als sie für den Handel ist. Der neue Default zum 15. September 2026 blockiert Training- und Agent-Bots nur auf Seiten mit Werbeanzeigen – und die gibt es in einem klassischen Shopware-Shop schlicht nicht. Für die große Mehrheit der Shops ist damit kein sofortiges Handeln nötig, und schon gar kein reflexhaftes Blockieren.

Das eigentliche Thema liegt woanders: Während Shopware seine Händler mit dem Agentic-Commerce-Sales-Channel Richtung KI-Vertrieb schiebt, sitzen bei vielen Shops noch alte, pauschale Bot-Blockaden im System – in Cloudflare, in der WAF oder in der robots.txt. Genau diese hausgemachten Sperren kosten still Sichtbarkeit in KI-Suche und blockieren im schlimmsten Fall die Live-Agenten, auf die Agentic Commerce angewiesen ist. Der sinnvolle nächste Schritt ist deshalb kein neuer Block, sondern ein sauberer Audit deiner bestehenden Einstellungen.

Wenn du unsicher bist, wie dein Shopware-Shop hinter Cloudflare konfiguriert ist und ob KI-Crawler und Agenten die richtigen Seiten erreichen, prüfen wir das im Rahmen unserer technischen SEO- und GEO-Betreuung gerne mit dir.

Shopware Cloudflare AI-Bots – zurück zur Übersicht